如何撤銷錢包裡的代幣授權？授權有什麼風險，怎麼檢視

代幣授權是什麼，為什麼有風險

代幣授權是你允許某個智慧合約替你動用代幣。它的主要風險是長期有效：幾年前用過的專案後來被攻破，當年的授權仍然可能被利用。要檢視或撤銷，可以用 Revoke.cash 或 Etherscan 這類區塊瀏覽器，撤銷是一筆鏈上交易，需要付 Gas。

DEX、借貸協議和 NFT 市場都依賴授權工作。沒有它，合約無法替你把代幣換走。Revoke.cash 的說明指出，合約被黑或本身惡意時，你的代幣可能被盜，並以 2023 年 4 月的 SushiSwap 漏洞事件為例。

斷開錢包連線，等於取消授權嗎

不等於。斷開只結束網站和錢包的連線，授權記錄仍然在鏈上，下圖第一段回答的就是這個問題。第二個問題 When will the contract permission expire 的回答是：合約許可權沒有到期日，幾年後仍然可以使用。

專案早就不用了，舊授權還有風險嗎

有，而且已經停運的專案並不更安全。Revoke.cash 的漏洞列表裡有不少這樣的案例，下圖每張卡片都標著日期和被盜金額：

• Lien Finance：Revoke.cash 稱這個 2020 年的協議早已被棄置，合約卻仍在執行且從未修補。2026 年 7 月，流動性提供者授權給交易池的 USDC 被盜約 54.2 萬美元。
• BarnBridge：Revoke.cash 稱專案已在 2023 年關閉。2026 年 7 月，攻擊者買下廢棄專案的治理控制權，從仍留有授權的錢包裡盜走約 77.7 萬美元 USDC。

兩起的共同點是專案已經沒人維護，使用者當年留下的授權卻還有效。

哪些授權最容易讓人上當

授權有四種形式，影響範圍和能不能在列表裡看到都不一樣：

形式	怎麼產生	影響範圍	能否在授權列表看到
同質化代幣 approve	鏈上交易，設定額度	該代幣，直到額度用完	能
NFT setApprovalForAll	鏈上交易	該系列的所有 NFT	能
Permit 簽名（EIP-2612）	鏈下簽名，不花 Gas	簽名指定的代幣和數量	上鍊啟用後才能
Permit2	先給 Permit2 合約一個授權，再籤子授權	可一次覆蓋多種代幣	上鍊後能，兩層都要查

後兩種特別容易上當。Permit 簽名發生在鏈下，錢包未必像鏈上授權那樣彈出警告，看起來就像一次普通的網站登入。Revoke.cash 也看不到還沒上鍊的簽名，騙子往往很快就會把它啟用。Permit2 能一次覆蓋多種代幣，使用者更難看懂自己在批准什麼。

另外還有兩種變體。假掛單是誘導你在 NFT 市場上籤署 0 ETH 的出售；偽裝轉帳是把直接轉走資產的交易起名叫 Security Update、Claim 或 Claim Rewards，讓你以為只是在領取或升級。

無限授權最多會損失多少

假設你錢包裡有 5,000 枚某代幣，授權給一個合約。如果這個合約後來被攻破：

授權額度	當時餘額	合約最多能轉走
無限	5,000	5,000
無限	之後充值到 20,000	20,000
200	5,000	200
0（已撤銷）	5,000	0

注意第二行：無限授權的風險金額跟著餘額走，以後存入同一地址的同種代幣也暴露在內。ethereum.org 建議避免無限授權，每次只批准這筆交易需要的數量，有些錢包允許你手動調低額度。代價是下次使用時要重新授權，再付一次 Gas。

如何檢視和撤銷代幣授權

用 Revoke.cash

下圖是 Revoke.cash 首頁的示例列表，並不是某個真實錢包。每行是一個“代幣 + 被授權合約”，最右邊是 Revoke 按鈕；第一行標著 Exploited，撤銷後顯示 Revoked。查自己的地址時，實際頁面的列可能更多，比如額度和更新時間。

1. 輸入錢包地址或 ENS。只想檢視的話，不需要連線錢包。
2. 選擇要檢查的網路。每個授權只對應一條網路上的一個代幣，每條鏈都要查一遍。
3. 看列表。懷疑剛被騙時按“最新到最舊”排序，也可以按授權物件的地址搜尋。
4. 連線錢包，點 Revoke 撤銷。如果以後還要用這個合約，可以點鉛筆圖示把額度調低。
5. 在錢包裡確認交易並支付 Gas，等幾分鐘後重新整理，確認它已從列表消失。

ethereum.org 提醒，錢包和工具網站要選同一條網路，否則看不到相關合約。Revoke.cash 稱支援 80 多個網路，你的網路是否在內，請看它的網路列表。

用區塊瀏覽器

Etherscan 上的路徑是：More 選單進入 Token Approvals，輸入地址，選擇 ERC20、ERC721 或 ERC1155，開啟 Show all approvals，再點 Revoke，撤銷時要連線錢包。選單名稱可能調整，以頁面為準。其他鏈用對應的瀏覽器，流程類似。

無論用哪個工具，都要從自己儲存的書籤進入。Revoke.cash 的官網地址是 revoke.cash。搜尋結果和私信裡的“撤銷工具”連結，本身可能就是釣魚頁面。

撤銷授權要花多少錢

2026 年 11 月初，Revoke.cash 的 FAQ 寫的是檢視和逐個撤銷只需付網路 Gas，免費使用者批次撤銷額外收 1.50 美元，部分網路有贊助方承擔這筆費用。

撤銷本身的 Gas 用量以錢包預估為準。假設用量 50,000，基礎費 10 gwei，優先費 1 gwei，ETH 價格 3,000 美元，一次是 50,000 × 11 = 550,000 gwei，即 0.00055 ETH，約 1.65 美元。清理 10 個就約 16.5 美元。這些數字只是舉例，計算方法見 Gas 費怎麼估算。

哪些授權該撤，哪些可以留

可以按看到的情況來處理：

看到什麼	怎麼處理
不認識的授權物件	撤
剛在可疑網站上操作過	立刻撤，騙子通常動作很快，晚了也要撤，防止之後再被利用
很久不用的專案	撤
常用專案的無限授權	考慮調低額度
常用專案的小額授權	可以保留，定期複查
測試網上的授權	Revoke.cash 稱一般不必撤，測試幣沒有價值，也不影響主網

撤銷不會影響已有的質押、流動性或借貸倉位。ethereum.org 的指南說明，你的倉位和收益不受影響，也不會因為撤銷而損失資金。Revoke.cash 補充，要往同一倉位追加資金時需要重新授權。實在分不清時，ethereum.org 的說法是可以全部撤銷，以後用到再重新授權。

撤銷授權能追回被盜的幣嗎

不能。撤銷是預防工具，有幾件事它做不到：

• 追不回資金。 Revoke.cash 明確說它不能找回被盜資產，但仍然應該撤銷被利用的授權，防止繼續被轉走。
• 幫不了助記詞洩露。 對方已經控制了錢包，撤銷沒有意義，該做的是立刻遷移。判斷和處理見助記詞洩露了怎麼辦。
• 看不到還沒上鍊的簽名。 列表裡不會顯示它。市場簽名類騙局依賴你給 OpenSea、Blur、Permit2 等合約的現有授權，Revoke.cash 說明及時撤銷這些授權可以讓簽名失效，只是留給你的時間很短。如果確實簽了可疑的簽名，把資產轉到別的地址，比等著觀察更穩妥。
• 有些老 NFT 查不全。 Revoke.cash 提到 CryptoKitties 這類早期系列可能不發出標準授權記錄，需要到該系列的頁面或區塊瀏覽器檢視。

硬體錢包也擋不住這類損失。Revoke.cash 的 FAQ 寫明，授權類攻擊不需要偷私鑰，硬體錢包沒有額外保護。

多久檢查一次錢包授權

沒有固定的週期，養成下面這些習慣更實用：

• 把存放長期資產的地址和日常互動的地址分開。Revoke.cash 的說明提到，真正的冷錢包不應留有代幣授權。
• 錢包裡留少量原生資產，否則連撤銷都發不出去。
• 每次彈出簽名視窗時，看清是登入、授權還是出售。
• 每用過一個新專案，就回來檢查一次授權。
• 留意“領空投”“驗證錢包”這類要求籤名的頁面，同類手法見常見加密貨幣騙局有哪些。